本文介绍Tetragon v1.7.0中策略加载与Sensor/Hook轴的关键问题：BTF发现失败会导致程序挂不上，需检查内核vmlinux路径；DaemonSet与主机安装共用agent，但依赖host网络和BPF能力；v1.7.0默认gRPC改用Unix socket，裸二进制仍为TCP；kubectl、gRPC、静态文件三条加载路径共用collectionKey映射，撞名时优先排查路径而非选择器YAML。

本文是Tetragon运行时安全系列终章，通过排除树机制收束选型判断。核心观点：先排除再选择，依据可证伪的机制问题而非场景。明确何时不该用Tetragon（如无BTF、编制不足、仅需CNP+Hubble），回收Cilium 16的悬空指针，列出TOCTOU边界、导出完备性等开放问题，并给出ADR友好建议：排除树进ADR，五轴进发布门禁，禁止以“安全套件已安装”续跑。

BPF类型格式（BTF）是一种为BPF程序提供的二进制类型编码格式，旨在解决DWARF在内核中的局限性。BTF通过压缩内核调试信息，提供结构体、函数签名等类型信息，支持内核中的类型验证和调试，确保BPF程序在内核中高效解析和使用。

该文介绍eBPF内核实现深度拆解系列，涵盖BPF指令集、验证器、JIT编译、Map、BTF与CO-RE、sched_ext等核心机制，共21篇，面向内核及平台工程师，提供源码级解析与推荐阅读路径，旨在填补中文技术资料空白。

eBPF是用于实现内核不支持的功能的工具，有多种开发工具如BCC、libbpf-bootstrap和Cilium。CO-RE是解决内核兼容性问题的方法，BTF是描述数据结构和函数签名的格式，libbpf是支持CO-RE的库。

Coolbpf项目推出了轻量级脚本化编程特性lwcb，可以解析用户编写的脚本，生成eBPF字节码，实现对Linux内核系统的跟踪诊断、性能分析和监控，支持BTF、python和批量探测点等功能。

How Tracee solves the lack of BTF information Alessio Greggi Thu, 09/01/2022 - 03:00 Tracee is a project by Aqua Security for tracing processes at runtime. By tracing processes using Linux eBPF...

在测试 golang + libbpf + ebpf 的时候发现一个问题，load ebpf object时，报错说找不到 BTF 文件。这个很奇怪，我已经 include 了 vmlinux.h, 按说不应该再依赖于 BTF 文件。看了下 libbpf 的代码,大概出错的地方在: 1 2 3 4 5 6 7 8 ...